Ak presne dodržíte odporúčania opísané v tomto článku, nikdy nebudete platiť výkupné, vždy získate svoje dáta späť a minimalizujete výpadky na dobu, ktorú ste ochotní akceptovať.
Niekoľko zaujímavostí
• Každý deň je v Českej republike nahlásených 20 trestných činov v súvislosti s kybernetickým útokom.
• Za posledné 3 roky sa počet útokov zdvojnásobil.
• Každý rok sa za útok v priemere platí o 25 % viac.
• Len niektoré organizácie sa na útok vopred pripravujú. Ostatné čakajú.
• Otázkou nie je, či útok príde, ale kedy príde.
Čo je ransomvér
Ransomvér je škodlivý kód (malvér), ktorý je vytvorený s cieľom obohatiť útočníka. Funguje na princípe vydierania používateľov. Poškodení používatelia sú nútení zaplatiť za sprístupnenie (dešifrovanie vlastných dát).
Ako ransomvér funguje
Hneď ako ransomvér prenikne do počítača alebo počítačovej siete, zašifruje všetky dáta na lokálnych diskoch, externých diskoch, v sieťových úložiskách, na NAS a aj dáta na ostatných strojoch. Vďaka deravým protokolom (zvyčajne prostredníctvom neaktualizovaných systémov) sa ransomvér môže dostať aj na miesta v sieti a zariadenia, ktoré sú inak veľmi dobre zabezpečené a zvyčajne neprístupné. Veľmi zákerné je aj to, že šifrovanie nemusí začať ihneď po nákaze, ale až s časovým odstupom. Keď sú všetky dáta zašifrované, útočník požiada o výkupné. Zvyčajne sa na monitoroch poškodených strojov objaví výzva na zaplatenie určitej sumy v stanovenom čase a spustí sa odpočítavanie (napríklad zaplaťte 5 bitcoinov do 72 hodín na konkrétny bitcoinový účet). Ak sa stanete obeťou ransomvérového útoku a prídete o všetky dáta, systémy aj zálohy, nezostáva nič iné, ako výkupné zaplatiť. Po zaplatení výkupného by útočníci mali poslať dešifrovací kľúč. Po jeho zadaní by malo dôjsť k dešifrovaniu vašich dát a ich vráteniu do pôvodnej podoby.
Prečo je teraz ransomvéru tak veľa a počuť o ňom všade?
Jednoducho preto, že to funguje a je to veľmi jednoduchý spôsob, ako nečestne zarobiť nepoctivé peniaze. Kým v minulosti sa úspešní ransomvéroví útočníci regrutovali z radov veľmi dobrých programátorov, ktorí mali dostatočne pokazenú povahu na to, aby sa týmto spôsobom obohatili, dnes už stačí len tento pokazený charakter. Je to preto, že ransomvér sa dá kúpiť alebo dokonca prenajať. Keď teda môže byť úspešným útočníkom takmer ktokoľvek, útokov logicky pribúda.
Pošlú útočníci po zaplatení skutočne funkčné dešifrovacie kľúče?
Na to nemožno všeobecne odpovedať. Skúsenosti našich zákazníkov aj partnerov sú rozporuplné. Zatiaľ čo niektorí zaplatili dokonca niekoľkokrát a následne úspešne dešifrovali dáta, niektorým kľúče nikdy neprišli. Záleží na konkrétnom útoku. Známe sú dokonca prípady očividne „nevydareného ransomvéru“, keď prebehlo šifrovanie, ale spojenie na platby a komunikáciu nebolo funkčné, takže k dešifrovaniu nedošlo.
Jedna rada – skúste sa s útočníkom vopred spojiť a požiadajte ho o dôkaz, že skutočne ovláda vaše dáta. Požiadajte útočníka, aby dešifroval časť dát alebo vám poskytol nejakú časť poškodených dát (napríklad niekoľko súborov). Z toho vyplynie, či je možné sa s útočníkom spojiť a či vám vôbec môže pomôcť. Ak sa požaduje malá suma – napríklad 100 až 500 dolárov (zvyčajne pri masovom útoku na veľký počet používateľov) – útočník sa nemusí ozvať a napriek tomu môžu byť dešifrovacie kľúče zaslané, pretože obsluha je automatizovaná. Ak ste však veľkou alebo dobre prosperujúcou organizáciou, na ktorú bol vykonaný cielený útok a požadovaná suma sa pohybuje v tisícoch dolárov, potom sa s vami útočník vo vlastnom záujme pravdepodobne bude rozprávať. Potom stačí zaplatiť, dúfať, dešifrovať, poučiť sa a chrániť sa pred ďalším útokom.
Môže ransomvér zaútočiť aj na nás?
Áno. A ak sa tak ešte nestalo, s veľkou pravdepodobnosťou sa tak stane veľmi skoro. Jedným z aktuálnych trendov v oblasti ransomvéru je zacielenie na lokálnych používateľov a organizácie. Útočníkom to totiž zvyšuje šancu na úspech. Na e-maily napísané zlou angličtinou, ktoré vyzývajú na otvorenie podozrivej prílohy, sa už dnes nachytá len málokto. Ak však pánovi riaditeľovi príde e-mail od renomovanej právnej kancelárie (e-mailová adresa je, samozrejme, podvrhnutá), napísaný peknou právnickou češtinou, o tom, že s ohľadom na neuhradenú faktúru bude v nasledujúcich dňoch na danú firmu podaná žaloba na súd, s veľkou pravdepodobnosťou pán riaditeľ otvorí zavírenú prílohu, v ktorej sa má nachádzať neuhradená faktúra. A pretože má v mnohých firmách najvyššie vedenie nastavené úplné, teda administrátorské práva, šifrovanie môže začať. Ďalšou častou metódou sú napríklad útoky prostredníctvom protokolu RDP, pri ktorých sa útočník snaží hrubou silou prelomiť prístup na vzdialenú plochu. Ak sa mu to podarí, spusteniu ransomvéru už nič nebráni.
10 + 1 pravidiel účinnej obrany proti ransomvéru
1) Najčastejším spôsobom nákazy je e-mail a infikovaná príloha alebo odkaz v e-maile vedúci na zavírený obsah. Minimum, ktoré môžete urobiť, je nastaviť prísnejšie filtrovanie pošty.
2) Najväčším rizikom sú používatelia. Nie je zložité presvedčiť nepoučeného používateľa, aby pod nejakou zámienkou otvoril prílohu. Takouto prílohou môže byť napríklad údajne neuhradená faktúra zaslaná na fakturačné oddelenie, údajný životopis zaslaný na personálne oddelenie, údajná objednávka zaslaná na obchodné oddelenie alebo údajné potvrdenie o doručení zásielky. Nedávajte preto administrátorské práva používateľom, ktorí ich nemajú mať.
3) Poučte používateľov a opakovane ich školte o bezpečnom správaní. Predovšetkým tých používateľov, ktorí majú nastavené vyššie práva.
4) Aktualizujte. Aktuálny systém väčšinou znamená opravený a menej deravý systém (samozrejme, nie vždy). V pravidelne aktualizovaných systémoch je vždy nižšie riziko, že systém napadne ransomvér a bude sa ďalej šíriť.
5) Využívajte aktívnu ochranu proti ransomvéru, ako sú antivírusy a bezpečnostný softvér. Alebo využite aktívnu ochranu proti ransomvéru, ktorá je prítomná vo všetkých zálohovacích riešeniach Acronis. Výhodou aktívnej ochrany Acronis je, že je špecializovaná priamo na ransomvér. Aktívna ochrana dokáže detegovať a zastaviť šifrovanie aj šírenie ransomvéru alebo aspoň zmierniť spôsobené škody. Aktívna ochrana Acronis navyše dokáže automaticky z vyrovnávacej pamäte súborového systému obnoviť už zašifrované súbory. Na stroje, na ktorých nemáte platené zálohovacie riešenie Acronis, nainštalujte aspoň bezplatnú aktívnu ochranu proti ransomvéru – Acronis Ransomware Protection (bezplatná aktívna ochrana obsiahnutá v Acronis Ransowmare Protection je určená len pre operačné systémy Windows 7, 8, 10. Aktívna ochrana v platených zálohovacích riešeniach Acronis chráni aj serverové operačné systémy a virtuálnu infraštruktúru).
6) Využite pasívnu ochranu – zálohovanie. Žiadna aktívna ochrana nezaručí 100 % obranu proti ransomvéru. Vždy je to súboj medzi vývojármi aktívnej ochrany a tvorcami ransomvéru. Aktívna ochrana tak iba zvyšuje šancu odolať útoku. Vytvárajte preto zálohy a ukladajte ich na bezpečné miesto. Ak bude najhoršie, dáta aj systémy obnovíte zo záloh. Podmienkou je, aby boli zálohy uložené „bezpečne“, pozrite nasledujúce body 7 a 8.
7) Chráňte zálohy. Ak sa ransomvér dostane k zálohám (inteligentnejší ransomvér sa o to pokúša najskôr), bez milosti ich tiež zašifruje. Ak využívate zálohovacie riešenie Acronis, máte navyše k dispozícii aktívnu ochranu proti ransomvéru. Tá okrem iného nedovolí z napadnutých strojov šifrovať zálohy vytvorené Acronis (tzv. systém Acronis self defense).
8) Skryte zálohy. Zálohy nemusíte aktívne chrániť, ak sa k nim ransomvér nedostane. Neukladajte preto zálohy do úložísk, ku ktorým majú všetci prístup. Najhoršie, čo môžete urobiť, je voľne ukladať zálohy hneď vedľa dát používateľov. Je potrebné vyčleniť priestor pre zálohy a oddeliť ho. Je potrebné presne určiť práva. Ak budete zálohy vytvárať pomocou softvéru Acronis, nastavte, aby mal k danému úložisku prístup iba Acronis a aby sa vyžadovali poverenia zabezpečené heslom. Toto heslo, respektíve úložisko pre zálohy, nepoužívajte na žiadne ďalšie účely.
9) Kópie záloh ukladajte na miesto, kde im ransomvér nemôže ublížiť. Ideálnym miestom je cloudové úložisko spoločnosti Acronis – Acronis Cloud Storage. Prečo? Pretože komunikácia medzi klientskymi zariadeniami a cloudovým úložiskom sa realizuje proprietárnym mechanizmom s využitím overovania okrem iného prostredníctvom platných certifikátov, a preto neexistuje žiadna šanca, aby ransomvér zálohy v Cloude poškodil alebo zašifroval. To znamená, že aj keby bola organizácia práve pod útokom a do cloudového úložiska Acronis by sa odoslala zavírená záloha, ostatné zálohy uložené v cloude budú v poriadku. Poslednú, nakazenú zálohu nebude možné použiť na obnovu. Bude však možné použiť akúkoľvek inú, skôr vytvorenú zálohu, ktorej obsah ešte nie je zašifrovaný.
Ak to porovnáme s bežnými offsite úložiskami typu public cloud alebo private cloud, dostupnými prostredníctvom bežne používaných protokolov, je zrejmé, že otvorením spojenia počas prebiehajúceho útoku dôjde k ohrozeniu aj tých záloh, ktoré sú uložené v sekundárnom úložisku mimo organizácie. Ransomvér navyše môže získať prístup do týchto úložísk podobne ako do lokálnych úložísk. Ransomvér tak môže zašifrovať aj zálohy, ktoré máte uložené na druhom konci sveta. Takéto sekundárne úložisko potom organizáciu ochráni iba pred haváriami primárneho úložiska záloh, ale na ransomvér to, žiaľ, nestačí.
10) Ak splníte všetky predchádzajúce body, môžete pokojne spať. Máte totiž 100 % istotu, že nebudete platiť výkupné. Máte istotu, že neprídete o dáta. Máte istotu, že aj keby ransomvér zašifroval polovicu organizácie, dokážete nakoniec systémy opäť sprevádzkovať (samozrejme, zaberie to čas). Ak vám to nestačí, prečítajte si bod 11.
11) Bod pre fajnšmekrov – ak nie ste ochotní tolerovať výpadky spôsobené ransomvérom alebo inou príčinou (garantujete plynulú prevádzku, prevádzkujete kritické systémy, každá hodina výpadku vám generuje obrovské straty), pozrite sa na kombináciu podnikového zálohovacieho riešenia Acronis Backup a Acronis Disaster Recovery. Tento systém dokáže v okamihu havárie (spôsobenej napríklad ransomvérom) spustiť kritické stroje v cloude spoločnosti Acronis a prevziať tak všetky služby, ktoré je nutné prevádzkovať. Po opätovnom sprevádzkovaní produkčného prostredia prepnete fungovanie späť na produkčné stroje v organizácii takmer bez výpadku (počítajte s 1 – 2 minútami offline). Na ne sa na pozadí nahrajú aktuálne dáta z dočasne bežiacich cloudových strojov a následne dôjde k prepnutiu.
Prehľad riešení spoločnosti Acronis na ochranu proti ransomvéru
| Pre koho je riešenie vhodné | Riešenia vhodné pre domácnosti | Riešenia vhodné pre organizácie | ||||
| Názov riešenia | Acronis True Image Standard |
Acronis True Image Advanced |
Acronis True Image Premium |
Acronis Backup |
Acronis Backup + Acronis Cloud Storage |
Acronis Backup + Acronis Disaster Recovery |
| Platené riešenie |  |
|
|
|
|
|
| Na ochranu počítačov, staníc a notebookov |
|
|
|
|
|
|
| Na ochranu serverov, virtuálnej a cloudovej infraštruktúry |
|
|
|
|||
| Ochrana proti šifrovaniu dát a šíreniu ransomvéru |
|
|
|
|
|
|
| Vytváranie a ukladanie záloh do lokálnych a sieťových úložísk |
|
|
|
|
|
|
| Ochrana proti zašifrovaniu záloh Acronis |
|
|
|
|
|
|
| Odosielanie záloh do oddeleného cloudového úložiska Acronis |
250 GB | 1 000 GB | Podľa vlastnej voľby |
Podľa vlastnej voľby |
||
| Spustenie identickej kópie kritického stroja v cloude |
|
|||||
| Prenesenie čerstvej kópie stroja späť do produkcie |
|
|||||
Názvy riešení – v hornej časti tabuľky sú odkazy (kliknutím prejdete na dané riešenie)
Potrebujete konkrétnu radu?
• Potrebujete poradiť s ochranou proti ransomvéru?
• Zaujíma vás, ako by takáto ochrana mohla vyzerať u vás?
• Chcete na vlastné oči vidieť, ako chránime systémy u nás?
Neváhajte nás kontaktovať na čísle +420 596 912 961 alebo napíšte na e-mail info@acronis.cz
Autor článku: Redakcia ZEBR.ai
